CVE-2025-13577
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wykryto lukę typu cross site scripting w systemie Hostel Management System 2.1 firmy PHPGurukul. Podatny jest nieznany fragment kodu w pliku /register-complaint.php, a manipulacja argumentem cdetails prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie opublikowany.
Ocena ryzyka
Osoba atakująca może zdalnie wstrzyknąć złośliwy skrypt poprzez argument cdetails, który zostanie wykonany w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Należy zaktualizować Hostel Management System do wersji naprawionej lub wdrożyć walidację i sanityzację argumentu cdetails w pliku /register-complaint.php. Do czasu poprawki zaleca się ograniczenie dostępu do panelu administracyjnego.
Inne podatności w PHPGurukul Hostel Management System
Zobacz wszystkie- CVE-2025-63611Wysokie
System zarządzania hostelem phpgurukul v2.1 zawiera podatność na Cross-Site Scripting (XSS) w polu skargi użytkownika (Explain the Complaint) przesyłanym przez /register-complaint.php. Wstrzyknięty kod HTML/JavaScript jest przechowywany i renderowany bez escapowania w widoku administratora (/admin/complaint-details.php?cid=<id>), co powoduje jego wykonanie w przeglądarce administratora.
- CVE-2025-45953Krytyczne
Podatność w PHPGurukul Hostel Management System 2.1 w pliku /hostel/change-password.php panelu użytkownika (komponent Zmiana hasła) umożliwia przejęcie sesji. Nieprawidłowe zarządzanie danymi sesji pozwala atakującemu na zdalne przechwycenie sesji użytkownika.
- CVE-2026-90851Średnie
W PHPGurukul Hostel Management System 3.0 wykryto wadę w pliku /admin/includes/checklogin.php. Manipulacja argumentem ID prowadzi do niewłaściwych kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-90850Niskie
W systemie PHPGurukul Hostel Management System 3.0 wykryto podatność XSS w nieznanej funkcji pliku /admin/manage-students.php. Manipulacja danymi prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in PHPGurukul Hostel Management System 2.1. The impacted element is an unknown function of the file /register-complaint.php. Executing a manipulation of the argument cdetails can lead to cross site scripting. It is possible to launch the attack remotely. The exploit has been published and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS